Долгие (больше 80 секунд) подключения, долгая загрузка медиа

[ctocopok]

Всем добра.
mtproto установлен на зарубежной VPS. для него выделен поддомен, на него получен SSL-серт от let's encrypt.
домен указан в качестве маскировочного. в нужный каталог залиты данные от сайта (html, media).
заданы три пользователя.

проверяю работоспособность - соединение из Android-приложения может занимать больше нескольких минут (статус: "Соединение...."), хотя, когда прокси не выбран текущим, у него статус "доступен" и пинг вполне приличный.
Но даже если соединение прошло, и в заголовке телеграма нет "соединение с прокси" или "обновление", в богатых картинками каналах медиа не грузится (вернее, очень долго не начинает грузиться).

Смотрел в логи - у меня куча соединений, и мой IP периодически попадает в блок. Выглядит это так:

Jun 11 03:01:14 myvps mtproto-proxy[165268]: info(proxy): drops: cap+=0 sat+=0 rate+=0 flood_guard+=0 hs_budget+=0 hs_timeout+=2 mp_fallback+=0 pool+=0
Jun 11 03:01:14 myvps mtproto-proxy[165268]: info(proxy): flood_guard: blocked+=0 top{<МОЙ_IP>=total:2/rate:0/budget:0/timeout:2/blocked:0s}
Jun 11 03:01:15 myvps mtproto-proxy[165268]: info(proxy): client ClientHello [ciphers=1301,1302,1303,c02b,c02f,c02c,c030,cca9,cca8,c013,c014,009c,009d,002f,0035 groups=7a7a,11ec,001d,0017,0018 keyshare=7a7a,11ec,001d] (we serve: cipher echoes client, key_share=x25519 0x001d)
Jun 11 03:01:15 myvps mtproto-proxy[165268]: info(proxy): client ClientHello [ciphers=1301,1302,1303,c02b,c02f,c02c,c030,cca9,cca8,c013,c014,009c,009d,002f,0035 groups=7a7a,11ec,001d,0017,0018 keyshare=7a7a,11ec,001d] (we serve: cipher echoes client, key_share=x25519 0x001d)
Jun 11 03:01:19 myvps mtproto-proxy[165268]: info(proxy): client ClientHello [ciphers=1301,1302,1303,c02b,c02f,c02c,c030,cca9,cca8,c013,c014,009c,009d,002f,0035 groups=7a7a,11ec,001d,0017,0018 keyshare=7a7a,11ec,001d] (we serve: cipher echoes client, key_share=x25519 0x001d)
Jun 11 03:01:21 myvps mtproto-proxy[165268]: info(proxy): client ClientHello [ciphers=1301,1302,1303,c02b,c02f,c02c,c030,cca9,cca8,c013,c014,009c,009d,002f,0035 groups=7a7a,11ec,001d,0017,0018 keyshare=7a7a,11ec,001d] (we serve: cipher echoes client, key_share=x25519 0x001d)
Jun 11 03:01:24 myvps mtproto-proxy[165268]: info(proxy): conn stats: active=6/102 hs_inflight=5 accepted+=7 closed+=3 tracked_fds=8 total=55 paused=false/false users_total=2 unassigned=4 users{user_1=2,user_2=0,an=0}
Jun 11 03:01:24 myvps mtproto-proxy[165268]: info(proxy): drops: cap+=0 sat+=0 rate+=0 flood_guard+=0 hs_budget+=0 hs_timeout+=1 mp_fallback+=0 pool+=0
Jun 11 03:01:24 myvps mtproto-proxy[165268]: info(proxy): flood_guard: blocked+=0 top{<МОЙ_IP>=total:3/rate:0/budget:0/timeout:3/blocked:0s}
Jun 11 03:01:34 myvps mtproto-proxy[165268]: info(proxy): conn stats: active=13/102 hs_inflight=12 accepted+=8 closed+=1 tracked_fds=14 total=63 paused=false/false users_total=1 unassigned=12 users{user_1=1,user_2=0,an=0}
Jun 11 03:01:34 myvps mtproto-proxy[165268]: info(proxy): drops: cap+=0 sat+=0 rate+=0 flood_guard+=0 hs_budget+=0 hs_timeout+=1 mp_fallback+=0 pool+=0
Jun 11 03:01:34 myvps mtproto-proxy[165268]: info(proxy): flood_guard: blocked+=0 top{<МОЙ_IP>=total:3/rate:0/budget:0/timeout:3/blocked:0s}
Jun 11 03:01:44 myvps mtproto-proxy[165268]: info(proxy): conn stats: active=15/102 hs_inflight=14 accepted+=8 closed+=6 tracked_fds=16 total=71 paused=false/false users_total=1 unassigned=14 users{user_1=1,user_2=0,an=0}
Jun 11 03:01:44 myvps mtproto-proxy[165268]: info(proxy): drops: cap+=0 sat+=0 rate+=0 flood_guard+=0 hs_budget+=0 hs_timeout+=6 mp_fallback+=0 pool+=0
Jun 11 03:01:44 myvps mtproto-proxy[165268]: info(proxy): flood_guard: blocked+=0 top{<МОЙ_IP>=total:2/rate:0/budget:0/timeout:2/blocked:0s}
Jun 11 03:01:54 myvps mtproto-proxy[165268]: info(proxy): conn stats: active=9/102 hs_inflight=9 accepted+=7 closed+=13 tracked_fds=9 total=78 paused=false/false users_total=0 unassigned=9 users{user_1=0,user_2=0,an=0}
Jun 11 03:01:54 myvps mtproto-proxy[165268]: info(proxy): drops: cap+=0 sat+=0 rate+=0 flood_guard+=0 hs_budget+=0 hs_timeout+=12 mp_fallback+=0 pool+=0
Jun 11 03:01:54 myvps mtproto-proxy[165268]: info(proxy): flood_guard: blocked+=0 top{<МОЙ_IP>=total:14/rate:0/budget:0/timeout:14/blocked:0s}
Jun 11 03:02:04 myvps mtproto-proxy[165268]: info(proxy): conn stats: active=8/102 hs_inflight=8 accepted+=6 closed+=7 tracked_fds=8 total=84 paused=false/false users_total=0 unassigned=8 users{user_1=0,user_2=0,an=0}
Jun 11 03:02:04 myvps mtproto-proxy[165268]: info(proxy): drops: cap+=0 sat+=0 rate+=0 flood_guard+=6 hs_budget+=0 hs_timeout+=7 mp_fallback+=0 pool+=0
Jun 11 03:02:04 myvps mtproto-proxy[165268]: info(proxy): flood_guard: blocked+=6 top{<МОЙ_IP>=total:21/rate:0/budget:0/timeout:21/blocked:118s}
Jun 11 03:02:14 myvps mtproto-proxy[165268]: info(proxy): conn stats: active=2/102 hs_inflight=2 accepted+=0 closed+=6 tracked_fds=2 total=84 paused=false/false users_total=0 unassigned=2 users{user_1=0,user_2=0,an=0}
Jun 11 03:02:14 myvps mtproto-proxy[165268]: info(proxy): drops: cap+=0 sat+=0 rate+=0 flood_guard+=7 hs_budget+=0 hs_timeout+=6 mp_fallback+=0 pool+=0
Jun 11 03:02:14 myvps mtproto-proxy[165268]: info(proxy): flood_guard: blocked+=7 top{<МОЙ_IP>=total:3/rate:0/budget:0/timeout:3/blocked:115s}
Jun 11 03:02:24 myvps mtproto-proxy[165268]: info(proxy): conn stats: active=0/102 hs_inflight=0 accepted+=0 closed+=2 tracked_fds=0 total=84 paused=false/false users_total=0 unassigned=0 users{user_1=0,user_2=0,an=0}
Jun 11 03:02:24 myvps mtproto-proxy[165268]: info(proxy): drops: cap+=0 sat+=0 rate+=0 flood_guard+=9 hs_budget+=0 hs_timeout+=2 mp_fallback+=0 pool+=0
Jun 11 03:02:24 myvps mtproto-proxy[165268]: info(proxy): flood_guard: blocked+=9 top{<МОЙ_IP>=total:5/rate:0/budget:0/timeout:5/blocked:105s}
Jun 11 03:02:34 myvps mtproto-proxy[165268]: info(proxy): conn stats: active=0/102 hs_inflight=0 accepted+=0 closed+=0 tracked_fds=0 total=84 paused=false/false users_total=0 unassigned=0 users{user_1=0,user_2=0,an=0}
Jun 11 03:02:34 myvps mtproto-proxy[165268]: info(proxy): drops: cap+=0 sat+=0 rate+=0 flood_guard+=11 hs_budget+=0 hs_timeout+=0 mp_fallback+=0 pool+=0
Jun 11 03:02:34 myvps mtproto-proxy[165268]: info(proxy): flood_guard: blocked+=11 top{<МОЙ_IP>=total:5/rate:0/budget:0/timeout:5/blocked:95s}

Пользуюсь я один (никому еще не раздавал ссылки, пока отлаживаю). Middle-proxy режим ни на что не влияет.
Что делать и куда копать?

[sleep3r]

По этому логу первое, что я бы сделал: отключил abuse guards, чтобы Android не самобанился во время отладки.

У нас эти защиты уже выключены по умолчанию в свежем конфиге, но у вас flood_guard явно активен: строка blocked:118s означает, что IP уже попал во временный deny, и дальше Telegram будет долго висеть на Соединение... / медиа будут стартовать с большой задержкой.

Проверьте /opt/mtproto-proxy/config.toml, секция [server], и выставьте так:

[server]
rate_limit_per_subnet = 0
handshake_flood_guard_enabled = false

После этого перезапустите сервис, чтобы сбросить текущий in-memory blocklist:

sudo systemctl restart mtproto-proxy

Потом снова попробуйте подключиться и посмотрите логи:

sudo journalctl -u mtproto-proxy -f

Ожидаемый результат: flood_guard+=... и строки blocked:...s должны исчезнуть. hs_timeout сам по себе еще может появляться, но он уже не будет банить ваш IP.

Важно: по вашему фрагменту cap=0, rate=0, hs_budget=0, то есть это не лимит соединений и не handshake-budget. Срабатывает именно exact-IP flood guard после серии handshake timeout. Для Android это легко поймать, потому что клиент открывает несколько параллельных/прогревочных соединений, особенно когда сеть или upstream отвечает неидеально.

Если после отключения flood_guard подключение все равно медленное, тогда копать уже не в защиты, а в реальную причину hs_timeout: проверить, что клиенту выдана свежая ссылка из sudo mtbuddy links, и прогнать:

sudo mtbuddy config validate
sudo mtbuddy config doctor --network

[sleep3r]

Без дебага пакетов сказать трудно

[Guerrero3324]

Похоже что проблема именно у админвпс... взял на время у других, все нормально работает.
Они там в кабинетах вот эту ссылку повесили, мб в этом проблема?

И не только у него...
А вот как раз на рег ру норм, как и в этой статье сказано.

[sleep3r]

Есть такое

[ctocopok]

Как отключить TLS 1.3 и включить http2 в нашем комбайне?

Ведь в статье речь об nginx, а у нас первым идёт прокси, и уже она делает fallback на nginx, если я правильно понимаю.

[sleep3r]

MTProto не мультиплексирует логические потоки в один TCP, и мы не управляем тем, сколько коннектов открывает клиент Telegram

Так что фикс из статьи к нам не применим